跳至主要内容

vm2又翻车！NodeVM“巢套沙箱”漏洞暗藏RCE：还以为关了模块加载？其实没关！

vm2 Keeps Getting Patched—And the Risk Path Is Getting Worse

Open-source security circles are buzzing again over vm2, the Node.js sandbox framework. In vm2 3.11.1, maintainers fixed a “nested execution setup” bug in NodeVM—tracked as CVE-2026-44007. Earlier, vm2 3.10.5 addressed issues tied to WebAssembly exception handling (CVE-2026-26956). The big takeaway: vm2 doesn’t just uncover occasional edge cases—it keeps revealing new boundary weaknesses. And the impact trajectory matters: what starts as sandbox bypass risk can escalate toward host-side command execution if the attacker can chain the flaws. Why? vm2’s promise is “restricted JS execution,” but it’s not a true VM. It still runs within the same Node.js process ecosystem. If that isolation boundary is bypassed, attackers may reach host capabilities. CVE-2026-44007 highlights a dangerous configuration conflict: enabling nesting:true while relying on require:false to block module loading. The patch approach is pragmatic—detect the risky combo and fail closed by throwing an error rather than pretending protection still holds. If you run untrusted code with vm2, upgrade immediately (at least cover 3.11.2) and don’t rely on vm2 alone—use process/container/VM isolation too. #NodeJS #AppSec #SandboxEscape #CVE #JavaScriptSecurity #vm2


Want to learn more? Visit Explore the world, stay updated on travel insights and international affairs, and discover authentic stories from real life

地点: 日本

评论

发表评论

此博客中的热门博文

紧急｜Juniper出厂“高权限密码”未强制更改，远程接管风险爆表，企业立即升级！

网络设备厂商Juniper近日发布安全公告，针对Junos OS与Junos OS Evolved 修补近30处漏洞，影响路由器、交换机与防火墙等关键基础设施，波及范围广泛。最严重为CVE-2026-33784，源自出厂映像中的vLWC组件：设备预置高权限帐号且未强制更改默认密码，攻击者可远端登录并取得完整控制，CVSSv3.1评分高达9.8。另一重要漏洞CVE-2026-33771则是密码管理功能异常，管理员设定的密码复杂度未被保存套用，可能导致弱口令被允许，显著增加暴力破解与未授权存取风险。其他修补项多属中等风险，涵盖信息外泄、权限提升、命令注入与防火墙绕过等问题。Juniper已发布修补版本并提供相关下载与说明。建议企业立即排查网络中的受影响型号并尽快应用补丁，优先更改出厂凭证、核实并强制实施密码复杂度策略，同时加强日志与访问监控；在无法立即升级的情况下，应限制管理面访问、启用双因素认证并在隔离网络内管理设备。执行更新前务必备份配置并安排维护窗口；如需协助，应联系厂商支持获取受影响清单与官方修补指引。将厂商通告纳入运维流程并遵循最佳安全实践，是减少被攻陷风险的当务之急。 想了解更多，欢迎访问 探索世界，掌握旅游资讯与国际动态，分享最真实的生活故事
发表评论
阅读全文

冷湖的刀光与荒石之间的寂静

凌晨四点的冷湖像被刀切开的黑纸，第一道光像指甲缝里钻出来的冷。风把空旷拉长成嗡嗡的电线，远处的油井在黑里做着微弱的呼吸。人影稀少，脚步声像弹簧，落在沙砾上又弹走，整个世界靠近到只剩下听觉。 我用手背去碰那些被风雕出的岩脊，冷得像遗忘的金属。空气里有股石油和盐的混合味，带一点潮湿的河床臭，深呼吸会觉着胸口被磨了一下。天色从墨到灰，光像一只耐心的眼睛，从地平线一点点剥开沟壑的轮廓。 雅丹群像刀片般排列，风把它们磨成了月球的背面。它们最特别之处在于横切面的细密褶皱——像年轮，又像被海浪折叠的纸。站在一块高岩上，我忽然觉得岁月像一只无名的手，把声音抽走，只留下形状和冷光；我心里有一种被忽略的幸福，既孤独又清醒。 夜里的冷湖另有一番面目，星空像个老人的网，细密而沉重。有人告诉我，最值得的时刻是日出前的半小时，那里不是金色，而是一种冷的铅灰，光先拍在雅丹的侧面，再慢慢爬上每一个棱角。如果你想把星空和岩脊一起带走，我会建议在荒道边找一处低矮的石堆，搭起简陋的躺椅，耐心等候那一刻——车灯远了又近，风会替你调节节奏。 道路并不复杂，但要留心时间和衣服。若你清晨出发，从冷湖镇向西沿碎石路走二十多公里，到了一个被人称为“小拐”的拐弯处下车，面朝东方的坡面上能看见最完整的雅丹轮廓；午后太阳把沟壑拉长，视角变窄，不如清晨那样有戏剧性。我会建议带上厚外套和保温杯，热茶在风里能把手指拯救回来；如果你打算在沙地上拍照，带一双防沙的靴子更能省去许多抱怨。 在这里，食物是简短而直接的慰藉：一碗热腾腾的手抓羊肉汤，汤里有骨髓的甘和少许青稞酒的余温。老人们会在炉火边把酒碗递来，说这是路人的暖，大漠和高原的交界处人情也像汤一样浓。喝下去，冷会被挤到胃的角落，你会记住那一口鲜而不腻的温度，以及背后关于迁徙和油田队伍的零碎故事。 我离开时太阳已把岩脊染成旧铜的色泽，风又把夜的寂静折回去。当车轮把砂砾重新排列成记忆里的线条，冷湖仍在那里，像一把没有声音的刀，等着下一个清醒的人来触碰。若你愿意，带着一盏小灯，再来一次，没有喧闹，只有刀光和荒石之间的寂静可以被珍藏。
发表评论
阅读全文

桥断了，风却继续开火车的声音

桥断了，风却继续开火车的声音。龍騰斷橋的拱形像被時間切斷的琴弦，橙褐色的裂縫中依稀剩下一段屬於鐵路的呼吸。站在橋頭，視線被一條撫不平的河床和遠處山腰割裂的線條吸住，心跳和輪廓一起慢下來。 風穿過空洞的拱圈，帶來河泥、落葉和乾草的味道；有時混著汽油與木屑的淡淡氣息，那是人行道上機車的痕跡。腳下是碎石與鐵軌的粗糙，手指能摸到冷卻的鋼鐵邊緣，粗糙又帶一點涼；光在午后斜進拱洞，像刀口，在牆面割出深淺不同的影帶。有人在橋下撿石頭，石頭落水的清脆聲在橋洞裡反覆被拉長，像老電影裡重放的片段。 最獨特的，是斷橋的沉默和回聲如何共同說故事；其次是斷裂與鄉野之間那種不協調的美，斷裂的混凝土對上遠方稻田的柔軟，一冷一暖，讓人想起被拆掉的記憶還能生出新芽。我站在那裡，感覺像被時間放逐，但同時又被一種溫柔的堅持包圍，像老照片裡倖存的微笑。 有人告訴我，最好在清晨五點半或傍晚四點四十五分來。霧容易在清早聚在河谷，拱洞裡會誕生半透明的薄紗；夕陽時，斷橋的輪廓會拉長成電影裡的黑白框線。我會建議從三義老街騎機車過來，沿著舊鐵道的小路轉入，在橋的北側有一片低矮的松樹，從那個角度拍過去，拱門的陰影最有層次。若你想躲開遊覽團，錯開中午，選擇平日黃昏時分，光線會把破碎變成溫柔的刀痕。 當地人總說，修路的工人和老鐵道的故事藏在一碗擂茶裡。於是我在回程時停下一家門口掛著手寫黑板的小店，喝了一碗熱擂茶，裡頭有炒過的芝麻、花生與些許苦茶香，攪拌後像是一場在口腔裡舉行的儀式。老闆說，當年搬橋的工人常常在田裡喝擂茶暖身，擂茶替他們驅散寒意，也把汗水和泥土的味道一起記住，成了這一帶人的家常和慰藉。 光又開始動了。雲層推開一條縫，陽光斑駁地撒在裂縫上，像在搓暖一件舊衣。有人在橋邊放慢腳步，有人在欄杆上靠著抽菸，孩子們則在河床上撿起光亮的小石子互相對照。那些動作很小，卻像鐘擺，拉著我的感受來回擺動：哀而不悲，寂而不冷。 如果你想聽這座橋講話，就在冬日的黃昏去，風會把聲音吹進你耳朵裡；如果你想拍到最有溫度的照片，等候光線從拱門斜入，我會建議用低角度靠近北岸的松樹旁，讓斷橋的弧線佔滿畫面。離開時，別忘了買一小碗擂茶，讓熱氣帶走身上的泥土味，還有帶走一點你帶來的城市急促。橋雖然斷了，故事還在；走遠一些，你會聽見風把那些未完成的車票一張張吹回來。 想了解更多，欢迎访问 探索世界，掌握旅游资讯与国际动态，分享最...
发表评论
阅读全文